Cybersécurité Cloud

CSPM, CWPP, CIEM, CNAPP — le paysage des outils de sécurité cloud

Le marché de la sécurité cloud s'est structuré autour de plusieurs catégories d'outils complémentaires. CSPM (Cloud Security Posture Management) : détection continue des misconfigurations dans les services cloud (buckets S3 publics, groupes de sécurité trop permissifs, ressources non chiffrées) — Wiz, Prisma Cloud, Defender for Cloud. CWPP (Cloud Workload Protection Platform) : protection des VMs, containers, et fonctions serverless en cours d'exécution (RASP, antimalware cloud, file integrity monitoring) — CrowdStrike Falcon Cloud Workload Protection, Aqua Security, Sysdig. CIEM (Cloud Infrastructure Entitlement Management) : analyse et réduction des droits IAM excessifs dans le cloud — Ermetic/Tenable, Sonrai Security. CNAPP (Cloud Native Application Protection Platform) : plateforme unifiée combinant CSPM + CWPP + CIEM + supply chain security — tendance du marché 2023-2025 (Wiz, Palo Alto Prisma Cloud, Aqua Security). Cette convergence réduit la complexité opérationnelle et améliore la corrélation entre les différentes couches de sécurité cloud.

Conformité cloud — certifications et frameworks

La conformité réglementaire dans le cloud nécessite de comprendre quelles certifications le cloud provider a obtenues et quelles responsabilités restent au client. Les principaux frameworks de conformité cloud : ISO 27001 (management de la sécurité de l'information — les grands providers sont certifiés pour leurs régions et services, le client doit obtenir sa propre certification pour son usage), SOC 2 Type II (contrôles de sécurité, disponibilité, confidentialité — les providers publient leurs rapports SOC 2 pour les services couverts), HDS (Hébergement de Données de Santé) en France — les trois grands providers ont l'accréditation HDS pour leurs régions françaises. La Shared Responsibility Matrix spécifique à chaque provider (disponible dans leur documentation) détaille qui est responsable de quoi pour chaque contrôle de conformité. L'hébergement de données personnelles de résidents EU dans le cloud US nécessite des garanties contractuelles spécifiques (Standard Contractual Clauses, certification EU-US Data Privacy Framework).

Well-Architected Framework — pilier sécurité

Le AWS Well-Architected Framework, l'Azure Well-Architected Framework, et le GCP Architecture Framework incluent chacun un pilier sécurité avec des bonnes pratiques structurées. Le pilier sécurité du AWS Well-Architected Framework couvre : Identity and Access Management (IAM), Detection (logging et monitoring via CloudTrail, Config, Security Hub), Infrastructure Protection (VPC, Security Groups, WAF, Shield), Data Protection (chiffrement at-rest et in-transit, classification), et Incident Response (préparation et automatisation de la réponse). L'outil AWS Well-Architected Tool (gratuit dans la console AWS) évalue l'architecture contre ces bonnes pratiques via un questionnaire structuré et identifie les High Risks et Medium Risks avec des recommandations de remédiation. Des évaluations Well-Architected réalisées par des AWS Partners peuvent être financées par des crédits AWS. Ces frameworks sont les références pour concevoir des architectures cloud sécurisées dès la conception (Security by Design).